Mobile (in)security
i tuoi dispositivi visti con gli occhi di un hacker
Alessio L.R. Pennasilico - [email protected]
Mobile Business
Treviso, 9 Maggio 2014
$whois -=mayhem=Security Evangelist @
Committed:
AIP Associazione Informatici Professionisti, CLUSIT
AIPSI Associazione Italiana Professionisti Sicurezza Informatica
Italian Linux Society, Sikurezza.org, AIP/OPSI
Hacker’s Profiling Project, CrISTAL
!
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
2
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
3
Le informazioni
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
4
Le informazioni
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
4
Perché occuparsi di
security?
Mobile (in)security - A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
Cosa dobbiamo affrontare?
Ogni anno
durante il Security Summit di Marzo a Milano
Clusit presenta un rapporto
su cosa è accaduto nell’anno precedente
e cosa ci si aspetta dall’anno in corso
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
6
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
7
Cosa emerge?
Tutti sono un bersaglio
Tutte le piattaforme sono un bersaglio
Le protezioni tradizionali sono inefficaci
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
8
Trend?
Aumentano i tentativi di intrusione
Aumentano i tentativi andati a buon fine
Per ogni intrusione perdiamo sempre più denaro
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
9
Perché preoccuparsi?
Nel 2013 gli attacchi noti
che hanno prodotto un danno ingente a chi li ha subiti
in termini economici o di immagine
sono aumentati del 245%
Campione 1152 attacchi di cui 35 Italiani
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
10
Vettori
Spear Phishing
Siti infetti
Sciacallaggio sulle news
Social APP infette
Mobile APP infetta
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
11
Botnet
Una volta infettati i DEVICE per fare
SPAM, Phishing, DDoS
posso rubare altri dati/identità
posso utilizzarli per produrre altro denaro
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
12
Ci attaccano per questo?
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
13
L’approccio al problema...
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
14
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
15
Identity theft: solo uno scherzo?
Danni economici
Danni di immagine
Ripercussioni sul credito
Difficile da dimostrare
Strascichi lunghissimi
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
16
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
17
Economia “digitale”
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
18
Economia “digitale”
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
18
Economia “digitale”
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
18
Quel che succede su Internet
Ho conseguenza nel mondo “reale”
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
19
Mobile è imprescindibile
da Cloud e Social
(ma da Security?)
Mobile (in)security - A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
I social network
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
21
I social network
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
21
Facebook Hacking
“The social reconnaissance enabled us to identify 1402
employees 906 of which used facebook.”
[…]
“We also populated the profile with information about
our experiences at work by using combined stories that
we collected from real employee facebook profiles.”
http://snosoft.blogspot.com/2009/02/facebook-from-hackers-perspective.html
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
22
Fiducia
“Upon completion we joined our customer's
facebook group. Joining wasn't an issue and our
request was approved in a matter of hours. Within
twenty minutes of being accepted as group
members, legitimate customer employees began
requesting our friendship. […] Our friends list grew
very quickly and included managers, executives,
secretaries, interns, and even contractors.”
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
23
Risultati
“We used those credentials to access the web-vpn
which in turn gave us access to the network. As it
turns out those credentials also allowed us to access
the majority of systems on the network including
the Active Directory server, the mainframe, pump
control systems, the checkpoint firewall console,
etc.”
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
24
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
25
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
26
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
26
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
27
Cosa saprò insegnare?
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
28
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
29
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
30
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
31
E’ necessario un nuovo
approccio
Mobile (in)security - A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
PDF come vettore
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
33
Dalla carta...
Botnet di Smartphone
create anche da volantini
cartacei...
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
34
... alle App ...
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
35
... agli script ...
Jailbreak di iPhone:
qualcuno cambia
la password di root?
(Novembre 2009)
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
36
https://www.securelist.com/en/analysis/204792318/Kaspersky_Security_Bulletin_2013_Overall_statistics_for_2013
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
37
Ransomware
Ti cripto tutti i dati
e chiedo il riscatto per dati la chiave
per poterli consultare di nuovo
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
38
http://arstechnica.com/security/2014/05/your-android-phone-viewed-illegal-porn-to-unlock-it-pay-a-300-fine/
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
39
17 Novembre 2013
http://thehackernews.com/2013/11/Cryptolocker-Ransomware-spam-emails-campaign-ten-million-users.html
22 Novembre
http://thehackernews.com/2013/11/us-police-department-pays-750-ransom-to.html
5% di 10.000.000 x $ 750 = $ 37.500.000
12.000 infetti x $ 750 = $ 900.000
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
40
Chi vuole le informazioni?
La criminalità organizzata mondiale
ha capito da tempo che
con “quelli dei computer”
è possibile gestire truffe
estremamente redditizie
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
41
Alpitour, Francorosso,Viaggidea,Villaggi Bravo
12 settembre
Gli account delle diverse pagine Facebook del Gruppo
Alpitour sono stati sottratti da cyber criminali egiziani,
che hanno iniziato a pubblicare a nome dell’Azienda link
malevoli, al fine di redirigere gli utenti su pagine infette da
malware (Zeus) . Il malware tentava di infettare i sistemi e
di effettuare il furto di credenziali bancarie delle vittime .
L’attacco è durato almeno 48h prima di essere risolto,
con il recupero del controllo delle pagine Facebook
http://www.lastampa.it/2013/09/15/italia/cronache/alpitour-cyberattacco-via-facebook-false-offerte-per-rubare-dati-agli-utenti-6XHELfHFLlVuGq5RfstdMO/pagina.html
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
42
Conclusioni
Mobile (in)security - A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
44
Cosa dobbiamo affrontare?
Rischi
reali, concreti
semplici da trasformare in incidenti
alta probabilità di conversione in incident
grande impatto sul business
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
45
Rischi
facili da prevenire
difficili da mitigare a posteriori
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
46
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
47
IT Security...
Un inutile impedimento
che rallenta le comuni operazioni
e danneggia il business?
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
48
IT Security...
O prevenzione e risposta ad eventi che
danneggerebbero il business in modo peggiore?
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
49
Io sono preoccupato
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
50
Evoluzione
La tecnologia si evolve…
… e con essa anche le minacce!
Mobile (in)security
A.L.R. Pennasilico - Mobile Business - Treviso, 9 Maggio 2014
51
These slides are written by Alessio L.R. Pennasilico aka mayhem. They are
subjected to Creative Commons Attribution-ShareAlike-2.5 version; you can
copy, modify, or sell them. “Please” cite your source and use the same licence :)
Alessio L.R. Pennasilico - [email protected]
facebook:alessio.pennasilico - twitter:mayhemspp - linkedin:alessio.pennasilico
Mobile Business
Treviso, 9 Maggio 2014
These slides are written by Alessio L.R. Pennasilico aka mayhem. They are
subjected to Creative Commons Attribution-ShareAlike-2.5 version; you can
copy, modify, or sell them. “Please” cite your source and use the same licence :)
Grazie dell’attenzione!
Alessio L.R. Pennasilico - [email protected]
facebook:alessio.pennasilico - twitter:mayhemspp - linkedin:alessio.pennasilico
Mobile Business
Treviso, 9 Maggio 2014
These slides are written by Alessio L.R. Pennasilico aka mayhem. They are
subjected to Creative Commons Attribution-ShareAlike-2.5 version; you can
copy, modify, or sell them. “Please” cite your source and use the same licence :)
Domande?
Alessio L.R. Pennasilico - [email protected]
facebook:alessio.pennasilico - twitter:mayhemspp - linkedin:alessio.pennasilico
Mobile Business
Treviso, 9 Maggio 2014